加州新修正法規要求公司董事會必須包括女性
加利福尼亞州（下簡稱加州）州長Jerry Brown於2018年9月30日簽署了一項新法案，規定在加州註冊成立的上市公司以及總部位於加州並在美國證交所上市的外國公司（如德拉瓦州公司），都必須在2019年底之前，於其董事會安排至少一位女性擔任董事，否則將面臨處罰；而此項新規定，亦使加州成為美國第一個要求上市公司將女性納入董事會的州。
此項規定並規定，在2021年年底前，若董事會的規模為6名以上，至少需有3名女性董事，若董事會的規模為5名成員，則至少需有2名女性董事，若董事會規模為4名以下董事，則至少需有1名女性董事。違反此項規定，將受到以下處罰：（1）首次違反處以10萬美元的罰款；（2）再度違反處以30萬美元的罰款，隨後再處以每次違反的罰款。
根據統計，日前在美國3000家最大的上市公司的董事會組成中，女性僅占其中18%，於2017年，更有624家上市公司的董事會中根本沒有女性。該法案表明，促進公司董事會性別平等不僅可以改善所有女性的職場機會，同時還能提高生產力，其依據是瑞士信貸（Credit Suisse）於2014年所作出的一項研究，該研究發現，擁有全男性董事會的公司，其平均股本回報率（Return on Equity, ROE）為10.1%，而擁有至少一名女性董事的公司，其平均股本回報率為12.2%。
根據彭博社(Bloomberg)於2019年的一項新分析，此項變革可為女性提供692個席次，並足以導致美國公司董事會整體性別平衡產生顯著的變化。此外，新紐澤西州(New Jersey)和馬薩諸塞州(Massachusetts)亦在考慮進行類似的立法，其他州也通過了不具拘束力的準則。根據統計，若其他州採用和加州相同立法，羅素3000(Russell 3000)中的公司需要在幾年內為女性開放3732個董事會席次，全國董事會的女性人數將增加近75%。
縱使該法案的反對者認為，這將增加企業改善種族和民族多樣性的難度，並質疑法案的適法性，然該法案的提出者仍認為，此一措施對於提升女性的代表權是必要的，相信當董事會組成多元化，女性的聲音能被聽到時，對整體勞動力的改善會是更好的。
- California just became the first state to require women on corporate boards
- California Mandates Female Representation On Public Company Boards
- California's 'giant step forward': Gender-quotas law requires women on corporate boards
- California's new law: No more all-male boards
- Wanted: 3,732 Women to Govern Corporate America
廖乙潔
專案經理 編譯整理
1. California just became the first state to require women on corporate boards, CNBC, https://www.cnbc.com/2018/10/01/california-law-will-require-women-on-corporate-boards.html. (last visited Apr. 23, 2019).
2. California Mandates Female Representation On Public Company Boards, Forbes, https://www.forbes.com/sites/allbusiness/2018/10/01/california-mandates-female-representation-public-company-boards/#4fcf13711775. (last visited Apr. 23, 2019).
3. Jorge L. Ortiz, California's 'giant step forward': Gender-quotas law requires women on corporate boards, Usatoday, Sep 30, 2018, https://www.usatoday.com/story/news/2018/09/30/california-law-sets-gender-quotas-corporate-boardrooms/1482883002/. (last visited Apr. 23, 2019).
4. California's new law: No more all-male boards, CNN, https://edition.cnn.com/2018/09/30/business/california-requires-women-board-of-directors/index.html. (last visited Apr. 23, 2019)
5. Wanted: 3,732 Women to Govern Corporate America, Bloomberg Businessweek, https://www.bloomberg.com/graphics/2019-women-on-boards/. (last visited Apr. 23, 2019)
英國於2018年7月通過自動與電動車法(Automated and Electric Vehicles Act 2018)，對自動與電動車輛之定義、保險議題以及電動車充電基礎設施進行規範。 針對自駕車之保險議題，該法採取「單一保險人模式」(Single Insurer Model)，無論是駕駛人自行駕駛或自動駕駛，駕駛人均應購買自駕車保險，讓所有用路人對於可能之安全事故均有保險可涵蓋並追溯責任。本法其他重要規定如下； 本法未直接賦予自駕車(Automated vehicle)明確定義，管理方式係由主管機關自行認定並建立清單。本法僅要求清單內之車輛應設計或調整為至少於某些特定狀況能安全行駛之自動駕駛模式。 已納保之自駕車行駛時所造成之損害，將由車輛之承保公司負擔損害賠償責任。 未納保之自駕車若發生事故，則車主應負擔損害賠償責任。 若由保險人負損害賠償責任，則受害人將可依現行法規提出損害賠償請求。保險人則可依普通法與產品責任相關規定，向應對事故負責之單位或個人提出損害賠償請求。 於電動車充電基礎設施之部分，該法之目的則是確保公共充電站適用於所有市面上之電動車輛，並就費用、付費方式以及相關安全標準進行規範，以增進消費者之信任。該法第20條並授權主管機關訂定相關授權辦法，以達上述目標。
美國加州網路中立法遭司法部提告美國加州州長Jerry Brown於2018年09月30日簽署該州的網路中立（Net Neutrality）Senate Bill 822法案，但美國司法部（Department of Justice，DoJ）隨即於同日對加州提起訴訟。DoJ指出Senate Bill 822法案牴觸聯邦政府於2018年對於網際網路採取解除管制之政策，該法案意圖阻撓聯邦政策的施行，有違美國憲法。 美國國會於1996年針對電信法（The Communications Act）制定「聯邦或州對網路低度管制（unfettered by Federal or State regulation）」之政策，美國聯邦通訊委員會（Federal Communications Commission，FCC）為符合該政策，於2002年發布命令，將寬頻網路接取服務列為資訊服務（information service），而美國不將資訊服務提供者以公共事業來看待並進行管理。雖然FCC於2015年就網路中立性訂立規則，要求網路服務提供者（Internet Service Provider）應平等處理所有資料，不得擅自降低流量速度、封鎖網站或服務，以確保任何人獲取資訊時不受不合理的限制。但FCC於2017年12月取消網路中立規定，並確保網際網路會在FCC之低度管制措施下，持續維持其自由與開放性。 DoJ及FCC均認為，網際網路本質上為跨州資訊服務，依據美國憲法第6條第2項規定，憲法、聯邦法律及美國對外條約為全國之最高法律，跨州之商務(interstate commerce)應屬聯邦管轄事項而非州管轄事項。因此，在聯邦政府已廢除網路中立性的情形下，且州政府沒有制定州際貿易規範的權限，則加州政府通過Senate Bill 822法案對網路立法監管，針對網路使用頒布違法且極端的法令，是企圖藉由Senate Bill 822法案破壞聯邦政府的規定，不當限制網路自由，與聯邦政府政策有所牴觸，此為違法及不利於消費者。故DoJ聲明其有責任捍衛聯邦政府的特權（prerogatives）以及維護憲法秩序。為此，DoJ起訴聲明為禁止加州執行Senate Bill 822法案，並請求法院判決Senate Bill 822法案無效。 雖然美國聯邦政府廢除網路中立性，但此政策受民主黨、Facebook、Amazon等著名大型科技公司及消費者的抨擊。因此，就DoJ起訴加州Senate Bill 822法案違法，法院是否認同DoJ所主張的牴觸美國憲法，以及美國對於網路中立性議題的後續發展，值得觀察。
歐盟第29條工作小組發布「自動化個人決策和分析指引」處理個人資料自動化決策與資料剖析風險問題歐盟第29條工作小組於2017年10月3日為因應歐盟一般資料保護規則（GDPR）第22條規定發布「自動化個人決策和分析指引」（Guidelines on Automated individual decision-making and Profiling for the purposes of Regulation 2016/679，2018年2月6日進一步修正，下稱指引），處理對個人資料自動化決策（automated decision-making）和個人檔案剖析（Profiling）的建立。 指引分為五個部分與最佳實踐建議，旨在幫助資料控制者（controller）合乎GDPR對個人資料自動化決策和分析的要求，內容包括下幾點：1.定義自動化決策和分析，以及GDPR對這些概念的處理方法；2.對GDPR第22條中關於自動化決策的具體規定；3.對自動決策和分析的一般規定；4.兒童和個人檔案剖析（Profiling）的建立；5.資料保護影響評估。 指引的主要內容包括： 個人檔案剖析（Profiling），意謂收集關於個人（或一群個人）的資料，並分析他們的特徵或行為模式，加以分類或分群，放入特定的類別或組中，和/或進行預測或評估（例如，他們執行任務的能力，興趣或可能的行為）。 禁止對個人資料完全自動化決策，包括有法律上法或相類重大影響的檔案剖析，但規則也有例外。應有措施保障資料主體的權利，自由和合法利益。 GDPR第22條第二項a之例外規定，（履行契約所必需的），自動化個人決策時，應該作狹義解釋。資料控制者必須能夠提出分析、自動化個人決策的必要性，同時考慮是否可以採取侵害隱私較少之方法。 工作小組澄清，關於在要求提供有關自動化決策所涉及的邏輯上有意義的資料時，控制者應以簡單的方法，告訴資料主體其背後的理由或依據的標準，而不得總是以自動化決策所使用算法進行複雜的解釋或者公開完整的算法為之。所提供的資料應該對資料當事人有意義。 對資料主體提供關於處理自動化決策上有關重要性和預期後果的資料，其意義在於必須提供關於該資料之用途或資料未來處理以及自動化決策如何影響資料主體的重要訊息。例如，在信用評等的情況下，應有權知道其資料處理的基礎，資料主體並能對其作出正確與否的決定，而不僅僅是關於決策本身的資料。 「法律效果」是指對某人的法律權利有影響，或者影響到個人法律關係或者其契約上權利。 工作組並未將GDPR前言71段視為絕對禁止純粹與兒童有關的自動決定，指出僅在某些情況下才有其適用（例如，保護兒童的福利）。 在基於自動化處理（包括分析）以及基於哪些決策產生法律效應或類似顯著效果的基礎上對個人方面進行系統和廣泛評估的情況下，進行資料保護影響評估並不局限於「單獨」自動化處理/決定。
初探物聯網的資通安全與法制政策趨勢初探物聯網的資通安全與法制政策趨勢 資訊工業策進會科技法律研究所 2021年03月25日 壹、事件摘要 在5G網路技術下，物聯網（Internet of Things, IoT）的智慧應用正逐步滲入各場域，如智慧家庭、車聯網、智慧工廠及智慧醫療等。惟傳統的資安防護已不足以因應萬物聯網的技術發展，需要擴大供應鏈安全，以避免成為駭客的突破口[1]。自2019年5月「布拉格提案[2]」（Prague Proposal）提出後，美國、歐盟皆有相關法制政策，試圖建立各類資通訊設備、系統與服務之安全要求，以強化物聯網及相關供應鏈之資安防護。是以，本文觀測近年來美國及歐盟主要的物聯網安全法制政策，以供我國借鏡。 貳、重點說明 一、美國物聯網安全法制政策 （一）核心網路與機敏性設備之高度管制 1.潔淨網路計畫 基於資訊安全及民眾隱私之考量，美國政府於2020年4月提出「5G潔淨路徑倡議[3]」（5G Clean Path initiative），並區分成五大構面，包括：潔淨電信（Clean Carrier）、潔淨商店（Clean Store）、潔淨APPs（Clean Apps）、潔淨雲（Clean Cloud）及潔淨電纜（Clean Cable）；上述構面涵蓋之業者只可與受信賴的供應鏈合作，其可信賴的標準包括：設備供應商設籍國的政治與治理、設備供應商之商業行為、（高）風險供應商網路安全風險緩和標準，以及提升供應商信賴度之政府作為[4]。 2.政府部門之物聯網安全 美國於2020年12月通過《物聯網網路安全法[5]》（IoT Cybersecurity Improvement Act of 2020），旨在提升聯邦政府購買和使用物聯網設備的安全性要求，進而鼓勵供應商從設計上導入安全防範意識。本法施行後，美國聯邦政府機關僅能採購和使用符合最低安全標準的設備，將間接影響欲承接政府物聯網訂單之民間業者及產業標準[6]。 另外，美國國防部亦推行「網路安全成熟度模型認證[7]」（Cybersecurity Maturity Model Certification, CMMC），用以確保國防工程之承包商具備適當的資訊安全水平，確保政府敏感文件（未達機密性標準）受到妥適保護。透過強制性認證，以查核民間承包商是否擁有適當的網路安全控制措施，消除供應鏈中的網路漏洞，保護承包商所持有的敏感資訊。 （二）物聯網安全標準與驗證 有鑑於產業界亟需物聯網產品之安全標準供參考，美國國家標準暨技術研究院（National Institute of Standards and Technology, NIST）提出「物聯網網路安全計畫」，並提出各項標準指南，如IR 8228：管理物聯網資安及隱私風險、IR 8259（草案）：確保物聯網裝置之核心資安基準等。 此外，美國參議院民主黨議員Ed Markey亦曾提出「網路盾」草案[8]（Cyber Shield Act of 2019），欲建立美國物聯網設備驗證標章（又稱網路盾標章），作為物聯網產品之自願性驗證標章，表彰該產品符合特定產業之資訊安全與資料保護標準。 二、歐盟物聯網安全法制政策 （一）核心網路安全建議與風險評估 歐盟執委會於2019年3月26日提出「5G網路資通安全建議[9] 」，認為各會員國應評鑑5G網路資通安全之潛在風險，並採取必要安全措施。又在嗣後提出之「5G網路安全整合風險評估報告[10]」中提及，5G網路的技術漏洞可能來自軟體、硬體或安全流程中的潛在缺陷所導致。雖然現行3G、4G的基礎架構仍有許多漏洞，並非5G網路所特有，但隨著技術的複雜性提升、以及經濟及社會對於網路之依賴日益加深，必須特別關注。同時，對供應商的依賴，可能會擴大攻擊表面，也讓個別供應商風險評估變得特別重要，包含供應商與第三國政府關係密切、供應商之產品製造可能會受到第三國政府施壓。 是故，各會員國應加強對電信營運商及其供應鏈的安全要求，包括評估供應商的背景、管控高風險供應商的裝置、減少對單一供應商之依賴性（多元化分散風險）等。其次，機敏性基礎設施禁止高風險供應商的參與。 （二）資通安全驗證制度 歐盟2019年6月27日生效之《網路安全法[11]》（Cybersecurity Act），責成歐盟網路與資訊安全局（European Union Agency for Cybersecurity, ENISA）協助建立資通訊產品、服務或流程之資通安全驗證制度，確保資通訊產品、服務或流程，符合對應的安全要求事項，包含：具備一定的安全功能，且經評估能減少資通安全事件及網路攻擊風險。原則上，取得資安驗證之產品、服務及流程可通用於歐盟各會員國，將有助於供應商跨境營運，同時能協助消費者識別產品或服務的安全性。目前此驗證制度為自願性，即供應商可以自行決定是否對將其產品送交驗證。 參、事件評析 我國在「資安即國安」之大架構下，行政院資通安全處於2020年底提出之國家資通安全發展方案（110年至113年）草案[12]，除了持續強化國家資安防禦外，對於物聯網應用安全亦多有關注，其間，策略四針對物聯網應用之安全，將輔導企業強化數位轉型之資安防護能量，並強化供應鏈安全管理，包括委外供應鏈風險管理及資通訊晶片產品安全性。 若進一步參考美國與歐盟的作法，我國後續法制政策，或可區分兩大性質主體，採取不同管制密度，一主體為受資安法規管等高度資安需求對象，包括公務機關及八大領域關鍵基礎設施之業者與其供應鏈，其必須遵守既有資安法課予之高規格的安全標準，未來宜完善資通設備使用規範，包括：明確設備禁用之法規（黑名單）、高風險設備緩解與准用機制（白名單）。 另一主體則為非資安法管制對象，亦即一般性產品及服務，目前可採軟性方式督促業者及消費者對於資通設備安全的重視，是以法制政策推行重點包括：發展一般性產品及服務的自我驗證、推動建構跨業安全標準與稽核制度，以及鼓勵聯網設備進行資安驗證與宣告。 [1]經濟部工業局，〈物聯網資安三部曲：資安團隊+設備安全+供應鏈安全〉，2020/08/31，https://www.acw.org.tw/News/Detail.aspx?id=1149 （最後瀏覽日：2020/12/06）。 [2]2019年5月3日全球32個國家的政府官員包括歐盟、北大西洋公約組織 （North Atlantic Treaty Organization, NATO）的代表，出席由捷克主辦的布拉格5G 安全會議 （Prague 5G Security Conference），商討對5G通訊供應安全問題。本會議結論，即「布拉格提案」，建構出網路安全框架，強調5G資安並非僅是技術議題，而包含技術性與非技術性之風險，國家應確保整體性資安並落實資安風險評估等，而其中最關鍵者，為確保5G基礎建設的供應鏈安全。是以，具體施行應從政策、技術、經濟、安全性、隱私及韌性（Security, Privacy, and Resilience）之四大構面著手。Available at GOVERNMENT OF THE CZECH REPUBLIC, The Prague Proposals, https://www.vlada.cz/en/media-centrum/aktualne/prague-5g-security-conference-announced-series-of-recommendations-the-prague-proposals-173422/ (last visited Jan. 22, 2021). [3]The Clean Network, U.S Department of State, https://2017-2021.state.gov/the-clean-network/index.html (last visited on Apr. 09, 2021)；The Tide Is Turning Toward Trusted 5G Vendors, U.S Department of State, Jun. 24, 2020, https://2017-2021.state.gov/the-tide-is-turning-toward-trusted-5g-vendors/index.html (last visited Apr. 09, 2021). [4]CSIS Working Group on Trust and Security in 5G Networks, Criteria for Security and Trust in Telecommunications Networks and Services (2020), https://csis-website-prod.s3.amazonaws.com/s3fs-public/publication/200511_Lewis_5G_v3.pdf (last visited Nov. 09, 2020). [5]H.R. 1668: IoT Cybersecurity Improvement Act of 2020, https://www.govtrack.us/congress/bills/116/hr1668 (last visited Mar. 14, 2021). [6]孫敏超，〈美國於2020年12月4日正式施行聯邦《物聯網網路安全法》〉，2020/12，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=8583 （最後瀏覽日：2021/02/19）。 [7]U.S. DEPARTMENT OF DEFENSE, Cybersecurity Maturity Model Certification, https://www.acq.osd.mil/cmmc/draft.html (last visited Nov. 09, 2020). [8]H.R.4792 - Cyber Shield Act of 2019, CONGRESS.GOV, https://www.congress.gov/bill/116th-congress/house-bill/4792/text (last visited Feb. 19, 2021). [9]COMMISSION RECOMMENDATION Cybersecurity of 5G networks, Mar. 26, 2019, https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:32019H0534&from=GA (last visited Feb. 18, 2021). [10]European Commission, Member States publish a report on EU coordinated risk assessment of 5G networks security, Oct. 09, 2019, https://ec.europa.eu/commission/presscorner/detail/en/IP_19_6049 (last visited Feb. 18, 2021). [11]Regulation (EU) 2019/881 of the European Parliament and of the Council of 17 April 2019 on ENISA and on Information and Communications Technology Cybersecurity Certification and Repealing Regulation (EU) No 526/2013 (Cybersecurity Act), Council Regulation 2019/881, 2019 O.J. (L151) 15. [12]行政院資通安全處，〈國家資通安全發展方案（110年至113年）草案〉，2020/12，https://download.nccst.nat.gov.tw/attachfilehandout/%E8%AD%B0%E9%A1%8C%E4%BA%8C%EF%BC%9A%E7%AC%AC%E5%85%AD%E6%9C%9F%E5%9C%8B%E5%AE%B6%E8%B3%87%E9%80%9A%E5%AE%89%E5%85%A8%E7%99%BC%E5%B1%95%E6%96%B9%E6%A1%88(%E8%8D%89%E6%A1%88)V3.0_1091128.pdf （最後瀏覽日：2021/04/09）。